(57)【要約】【課題】ネットワーク内のサービスホストへのサービス要求を認可する方法。【解決手段】ネットワーク内の通信は、ネットワーク内のユーザ端末がルーティング可能なネットワークアドレスに関連づけられるようなルーティングメカニズムに基づく。サービスホスト（Ｂ）が、要求メッセージ（ＣＲｅｑ）でノンスを要求側ユーザ端末（Ａ）のネットワークアドレスへ送信する。ユーザ端末（Ａ）は、ノンス、または、サービスホスト（Ｂ）によっておよびユーザ端末（Ａ）によってノンスから導出可能な値を、応答メッセージ（ＣＲｅｓ）でサービスホスト（Ｂ）のネットワークアドレスへ返送する。【選択図】図１
2006146893.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内のサービスホストへのサービス要求を認可する方法において、前記ネットワーク内の通信は、前記ネットワーク内のユーザ端末がルーティング可能なネットワークアドレスに関連づけられるようなルーティングメカニズムに基づき、
前記サービスホストが、要求メッセージでノンスを要求側ユーザ端末のネットワークアドレスへ送信し、
前記ユーザ端末は、前記ノンス、または、前記サービスホストによっておよび前記ユーザ端末によって前記ノンスから導出可能な値、を応答メッセージで前記サービスホストのネットワークアドレスへ返送する、
ことを特徴とするサービス要求認可方法。
【請求項２】
前記サービスホストは、前記応答メッセージとともに受信されるノンスが送信したノンスと一致する場合に、要求されたサービスを許可することを特徴とする請求項１に記載の方法。
【請求項３】
前記サービスホストは、前記応答メッセージとともに受信される値が送信したノンスから導出できる場合に、要求されたサービスを許可することを特徴とする請求項１に記載の方法。
【請求項４】
前記ユーザ端末は、前記サービスホストへサービス要求を送信していないのに、前記サービスホストから要求メッセージを受信した場合、否定応答を前記サービスホストへ送信することを特徴とする請求項１に記載の方法。
【請求項５】
前記サービスホストは、有効な応答メッセージの受信後、要求されたサービスを許可する前に、設定可能な時間だけ待機することを特徴とする請求項１−４のいずれか１項に記載の方法。
【請求項６】
前記サービスホストは、設定可能な時間内に応答メッセージを受信しない場合、サービス要求の処理を中止することを特徴とする請求項１−５のいずれか１項に記載の方法。
【請求項７】
前記ノンスまたは前記応答メッセージとともに受信される値が、ハッシュチェイン、または、認可された証明書のない任意の他の非対称セキュリティメカニズムにより拡張されることを特徴とする請求項１−６のいずれか１項に記載の方法。
【請求項８】
前記要求メッセージおよび前記応答メッセージが識別子を含むことを特徴とする請求項１−７のいずれか１項に記載の方法。
【請求項９】
前記ネットワークアドレスが、具体的には、スイッチングネットワークにおけるＩＰアドレス、セッション開始プロトコル（ＳＩＰ）ユニフォームリソースロケータ（ＵＲＬ）、Ｈ．３２３アドレスまたはＭＡＣアドレスでもあり得ることを特徴とする請求項１−８のいずれか１項に記載の方法。
【請求項１０】
請求項１−９のいずれか１項に記載の方法を実行するためのサービスホスト。
【請求項１１】
請求項１−９のいずれか１項に記載の方法を実行するためのユーザ端末。
【請求項１２】
請求項１−９のいずれか１項に記載の方法を実行するための通信ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク内のサービスホストへのサービス要求を認可する方法に関する。この方法において、ネットワーク内の通信は、ネットワーク内のユーザ端末がルーティング可能なネットワークアドレスに割り当てられるようなルーティングメカニズムに基づく。
【背景技術】
【０００２】
上記認可方法は実務上かなり前から種々の態様で知られている。通常知られている認可方法は、例えばユーザアカウント、ユーザ証明書、あるいは公開鍵基盤（ＰＫＩ）による、サービスホストでの明示的なセキュリティアソシエーションに基づく。
【０００３】
しかしながら、従来の方法では、ますます重要になっているネットワーク側サービスに関して問題がある。ネットワーク側サービスは、ユーザ側データトラフィックの特定の処理機能を可能にするものであるが、その例としては、ファイアウォール、ＮＡＴ（network address translator）、キャッシュ、高機能パケット処理ノード、スマートゲートウェイ、あるいはプログラマブルルータがある。ネットワーク管理者にとっては、これらのネットワーク側サービスを構成するために、例えばユーザ認証やアクセス制御に基づく安全な手段が既に利用可能であるが、エンドユーザは通常、これらのサービスで明示的なセキュリティアソシエーション（例えばユーザアカウントやユーザ証明書）を自由に利用できない。そのため、エンドユーザは、ネットワーク側サービスにより提供される機能の利点を自己のために、すなわち自己から発信され、あるいは自己を宛先とするデータトラフィックのために利用できない。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は上記課題を解決するものであり、簡単な手段で、とりわけ明示的なセキュリティアソシエーションを必要とせずに、多くの種類のサービスについて、エンドユーザがこれらのサービスを利用できるようにするレベルのセキュリティを提供する。
【課題を解決するための手段】
【０００５】
上記の課題は、請求項１に記載の特徴を備えた方法によって解決される。これによれば、本方法は、サービスホストが要求メッセージでノンスを要求側ユーザ端末のネットワークアドレスへ送信し、ユーザ端末は、そのノンス自体、または、サービスホストおよびユーザ端末によってそのノンスから導出可能な値を、応答メッセージでサービスホストのネットワークアドレスへ返送するように実現される。ここで、ノンス（nonce）とは、一般に、セキュリティ目的で一回限り使用される任意の数値をいう。
【０００６】
本発明によって初めて認識されたこととして、サービス、とりわけ多数のネットワーク側サービスの認可のために、要求側ユーザ端末のネットワークアドレスの検証が、十分なレベルのセキュリティを提供する。さらに、本発明によれば、サービス要求側ユーザ端末のネットワークアドレスの検証に関して、サービスホストと要求側ユーザ端末の間の簡単な要求−応答プロトコルが与えられる。ここで、サービスホストは、要求メッセージでノンスを要求側ユーザ端末のネットワークアドレスへ送信する。ノンスは任意の値とすることができる。例えば、十分に大きな乱数値とすることで、悪意のあるユーザがノンスを推測することがほとんど不可能であることを保証しさえすればよい。本発明によれば、ユーザ端末は、応答メッセージで、ノンス自体、または、サービスホストおよびユーザ端末によってノンスから導出可能な値を、サービスホストのネットワークアドレスへ返送する。したがって、本発明の方法により、要求側ユーザ端末のネットワークアドレスの検証が可能となり、偽のネットワークアドレスでサービスの利用を要求する悪意ユーザを検出することができる。
【０００７】
本発明による要求−応答プロトコルは既知の標準的な「チャレンジ−応答プロトコル」と同様に用いられるので、ここで特に指摘しておかなければならないが、本発明による方法は、ユーザ端末とサービスホストの間であらかじめ設定した共有秘密鍵（shared secret）に基づくものではない。このような設定された秘密鍵は、標準的なチャレンジ−応答プロトコルの安全な動作には必須である。これに対して、本発明による方法のセキュリティは、本方法が適用されるネットワーク環境のルーティング特性に由来する。この場合、ルーティングが行われるネットワークにおいて、確認すべきネットワークアドレスが属するノード（またはそのノードのサブネットワーク）のみに要求メッセージを転送するというネットワークの特性が利用される。
【０００８】
確認可能なアドレスの種類に関して、本発明による方法は広範囲に適用可能である。前提条件は、アドレスがネットワーク内でルーティングされなければならないことだけである。この意味で、特に、インターネットプロトコルアドレス、すなわちＩＰｖ４やＩＰｖ６のアドレス、およびボイスオーバーＩＰアプリケーションに用いられるＳＩＰ  ＵＲＬは、確認可能である。
【０００９】
本発明の方法により、エンドユーザは、明示的なユーザアカウントなしで、自己のデータフロー、すなわち自己のユーザ端末との間で送信されるデータパケットについて、ネットワーク内の付加価値機能を提供するネットワーク側サービスを利用できる。この意味で、ユーザは、例えば自己のデータフローについてネットワーク側ファイアウォールやＮＡＴミドルボックスを設定できる。また、例えばＶｏＩＰアプリケーションで、ユーザ端末が公衆ネットワークから到達可能でなければならない場合、ＮＡＴゲートウェイに対してポート−アドレス変換を要求することができる。
【００１０】
具体的実施態様に関して、サービスホストは、応答メッセージとともに受信されるノンスが送信したノンスと一致する場合に限り、要求されたサービスを許可することができる。すなわち、ユーザ端末がサービスホストのネットワークアドレスに正しいノンス（またはそれから導出される値）を返送した場合にのみ、サービス要求が処理される。これにより、偽のネットワークアドレスを用いて他人であると称する悪意ユーザに対して、要求されたサービスへのアクセスを拒否できる。サービスを無制限に許可するのではなく、要求側ユーザ端末のネットワークアドレスに応じて、制限された範囲でサービスを許可することができる。
【００１１】
利点として、ユーザ端末がサービスホストへサービス要求を送信していないのにサービスホストから要求メッセージを受信した場合、ユーザ端末は否定応答をサービスホストへ送信することができる。これにより、ネットワークアドレスを検証する時に生じた問題がサービスホストに通知され、サービスホストは直ちに、対応するサービス要求の処理を中止することができる。
【００１２】
さらに有利な実施形態として、サービスホストは、有効な応答メッセージの受信後、要求されたサービスを許可する前に、事前設定可能な時間だけ待機する。これは特に、例えば非スイッチングイーサーネットネットワークのようなブロードキャスト媒体にとって有益である。というのは、この場合、ローカルブロードキャスト媒体上の悪意ユーザがローカルトラフィックを盗聴できるからである。その結果、たとえ要求メッセージが実際に要求しているユーザの正しいネットワークアドレスへ送信されたとしても、悪意ユーザは有効な応答メッセージを偽造できる。このような攻撃の場合、通常は要求側ユーザも要求メッセージを受信する。このため、要求側ユーザは、サービスホストのアイドル時間（サービスが許可されるまでの時間）を用いて、例えば否定応答の形態でサービスホストへ警報を送信する。なお、ほとんどの「最終ホップリンク」技術が「非ブロードキャスト」あるいはスイッチング媒体（例えばスイッチングイーサーネット、ＧＰＲＳ／ＵＭＴＳ等）の方向に発展しているという事実から、上記の種類の攻撃が可能な場合は少なくなっていることに留意されたい。
【００１３】
サービスホストが設定可能時間内に応答メッセージを受信しない場合、サービス要求の処理を中止してもよい。
【００１４】
より高いレベルのセキュリティに関して、要求メッセージおよび応答メッセージで用いられるノンスは、ハッシュチェインにより拡張できる。これにより、ユーザ端末とサービスホストの間の証明可能安全な通信が実現できる。ただし、メッセージの生成のために必要な処理コストは増大する。これは特に、同一ユーザ端末が複数のサービス要求をサービスホストへ送信する場合に有利である。これにより、ブロードキャスト媒体における攻撃に利用可能な時間は、最初の交換の時間に短縮される。
【００１５】
さらに有利な実施形態として、要求メッセージおよび応答メッセージに識別子（ＩＤ）を割り当てることができる。これは特に、特定の時間間隔中に多数のサービス要求がサービスホストに到着するような場合に有利である。ＩＤに基づいて、もとのサービス要求を容易かつ一義的に応答メッセージと照合することができる。
【００１６】
本発明の教示を有利に実施し、さらに改良する方法には複数の可能性がある。そのために、一方では従属請求項を参照し、他方では本発明の好ましい実施例に関する以下の説明を参照すべきである。図面による本発明の好ましい実施例の説明に関しては、教示の一般的に好ましい実施形態および改良形態も説明される。
【発明を実施するための最良の形態】
【００１７】
図１は、ネットワーク内のサービスホストへのサービス要求を認可する本発明による方法の実施例の概略図である。サービスホストＢがユーザ端末Ａからサービス要求を受信した後、サービスホストＢは要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝を送信側のネットワークアドレスへ、すなわちユーザ端末Ａのネットワークアドレスへ送信する。要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝はノンスＸを含む。ノンスＸは、任意の値、例えば十分に大きな乱数値とすることができる。ノンスＸの選択に関しては、悪意のあるユーザがノンスＸを推測することがほとんど不可能であることを保証しさえすればよい。
【００１８】
ネットワークのルーティングメカニズムにより、要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝は、確認すべきネットワークアドレスが属するユーザ端末のサブネットワークのみに転送されることが保証される。したがって、いかなる他のサブネットワークのノード／端末もこのメッセージを盗聴することはできない。
【００１９】
確認すべきネットワークアドレスを有するユーザ端末Ａの応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝もまた、ノンスＸ、またはユーザ端末ＡおよびサービスホストＢによってノンスＸから一義的に導出可能な別の値を含む。サービスホストＢによって要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝の一部として提供されるノンスＸは悪意ユーザが推測できないように作成されるので、悪意ユーザが有効な応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝を偽造する可能性はない。したがって、サービスホストＢが有効な応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝を受信した場合には、サービスホストＢはもとのサービス要求に含まれるネットワークアドレスが有効であることを知る。その結果、ユーザ端末Ａに対して、要求されたサービスを許可することができる。
【００２０】
また、同じく図１に示されているように、要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝および応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝は、ノンスＸに加えて、識別子ＩＤも含む。識別子ＩＤは、応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝を一義的にもとのサービス要求と照合するために必要である。識別子ＩＤは、例えばハッシュ値として生成でき、あるいはアプリケーション番号から、または要求に対するユーザ端末内部の番号付けから導出できる。
【００２１】
図２は、悪意ユーザ〜Ａがサービス要求をサービスホストＢへ送信し、ユーザＡであると偽っている状況の概略図である。本発明の方法によれば、サービス要求を受信したサービスホストＢは、サービス要求を送信したユーザに対して、まず要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝に関して自己のネットワークアドレスを確認するよう求める。サービス要求は悪意ユーザ〜Ａによって偽造されているので、サービスホストＢは、ユーザＡがサービス要求を送信したとみなし、その結果、要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝をユーザＡのネットワークアドレスへ送信する。しかし、ユーザＡはサービス要求については何も知らないので、否定応答ＮＡＣＫ｛ＩＤ，Ｘ｝で応答する。このようにして、サービスホストＢに問題が通知され、サービスホストＢはもとのサービス要求の処理を中止することができる。
【００２２】
なお、本方法は、たとえユーザ端末Ａが否定応答ＮＡＣＫ｛ＩＤ，Ｘ｝をサービスホストＢに送信しなくても、設定可能な時間後に応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝が受信されていなければ、サービス要求の処理がサービスホストＢによって中止されるように実行してもよい。
【００２３】
図２に示した例は、本発明による方法のセキュリティが要求−応答プロトコルのみに由来するだけでなく、ルーティングが行われるネットワーク環境に関するプロトコルの適用にも由来することを非常に明確に示している。そのネットワーク環境では、適当なルーティングにより、要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝が、検証すべきネットワークアドレスおよび／または対応するサブネットワークへ正しくかつ排他的に送信されることが保証される。
【００２４】
なお、ユーザ端末ＡとサービスホストＢの間のデータパスに位置する悪意ユーザは要求メッセージＣＲｅｑ｛ＩＤ，Ｘ｝を容易に盗聴できる。その結果、悪意ユーザは、対応する応答メッセージＣＲｅｓ｛ＩＤ，Ｘ｝を偽造することで、サービスホストＢに、ネットワークアドレスが検証されたものと信じさせることができる。ユーザ端末とサービスホストの間の共有秘密鍵や、信頼できるＰＫＩ（公開鍵基盤）がないため、本発明による方法においてはこの種の攻撃が避けられない。しかし、アクセスネットワークは通常はサービスプロバイダに「属して」おり、ユーザはいずれにせよ安全なネットワーク基盤の提供に関してサービスプロバイダを信頼しなければならないので、この種の攻撃は一般に主要な脅威とはならない。
【００２５】
図３に示す状況は、本発明による方法のもう１つの適用例である通信ネットワークシステムを示している。図示した例において、移動端末Ｔは、そのファイアウォール機能またはその一部をネットワーク側ファイアウォールＦＷに移転することによって負荷が軽減されている。ネットワーク側ファイアウォールＦＷは、移動端末Ｔに代わって移動端末Ｔのためにパケットのフィルタリングを行う。ネットワーク側ファイアウォールＦＷへのこの機能移転は、図中矢印で示されている。
【００２６】
移動端末Ｔがネットワーク側ファイアウォールＦＷで、この移動端末Ｔとの間で送信されるデータトラフィックに影響するファイアウォール規則のみを設定できることを保証するために、まず、移動端末Ｔのネットワークアドレスを検証する。これは、本発明の方法により、例として図１に関して説明したように行われる。移動端末Ｔのネットワークアドレスの検証が成功した後、この端末Ｔは、明示的なセキュリティアソシエーションを必要とせずに、パーソナルなファイアウォール設定を行うことができる。
【００２７】
この適用形態にとって、実際のユーザが誰であるか、端末が誰のものであるかは重要でないので、ユーザ／ユーザ端末と、ファイアウォールサービスを実行しているネットワークプロバイダとの間の明示的なセキュリティアソシエーションは不要である。明示的なセキュリティアソシエーションが必要であるとすると、記載した適用形態をグローバルな規模で実施するのはほとんど不可能となろう。というのは、すべてのサービスおよびすべての移動ユーザ／端末を含む完全なＰＫＩが要求されることになるからである。
【００２８】
移動端末にとって、明示的なセキュリティアソシエーションなしでサービスにアクセスすることは、特にローミングの場合には非常に有益である。ユーザのホームネットワークには完全なセキュリティアソシエーションが存在する場合もあるが、外部ネットワークにおいては一般的にはそうではない。それにもかかわらず、本発明の方法によれば、ユーザは一部のネットワーク側サービスを利用可能である。
【００２９】
上記のようにファイアウォール機能をネットワーク側ファイアウォールＦＷに移転することは、移動端末Ｔにとって多くの利点がある。例えば、不要なトラフィックを既にネットワークでブロックできるので、無線リンクＬに対する通信負荷を大幅に低減できる。
【００３０】
また、不要なトラフィックを受信し処理する必要がないので、（バッテリ駆動の）移動端末Ｔの動作時間が増大する。すなわち、移動端末Ｔが省電力モードにとどまることのできる時間を延ばせる。さらに、ファイアウォール機能がローカルで実行されるのではなく、あらかじめネットワークで実行される場合には、端末Ｔの処理および／またはメモリの機能を縮小できる。また、不要なパケットは無線リンクＬに到達する前にあらかじめ破棄できるので、ＤｏＳ（サービス拒否）攻撃も防止できる。したがって、全体として、無線帯域幅には不必要に負担がかからない。
【００３１】
最後に、特に指摘しておくべきことであるが、上記の実施例は単に本発明の教示を説明するためのものに過ぎず、決して本発明を実施例に限定するものではない。
【図面の簡単な説明】
【００３２】
【図１】本発明によるサービスホストへのサービス要求を認可する方法の実施例の概略図である。
【図２】サービス要求が悪意ユーザ端末によって送信される状況の概略図である。
【図３】サービス要求がネットワーク側ファイアウォールの設定に関連する場合の、本発明による方法のもう１つの実施例の概略図である。
【図１】
2006146893.tif 000003
【図２】
2006146893.tif 000004
【図３】
2006146893.tif 000005